Legge sulla protezione dei dati personali (Legge cantonale sulla protezione dei dati) (Kantonales Datenschutzgesetz) - Scopo

1. Questa legge serve alla tutela dei diritti fondamentali delle persone, i cui dati sono trattati da enti pubblici.

1. Le seguenti espressioni significano

a) Dati personali (Dati): tutte le informazioni che si riferiscono a una persona identificata o identificabile

b) persone interessate: persone fisiche o giuridiche, i cui dati vengono trattati

c) organismi pubblici: autorità e uffici del cantone e dei comuni, enti e istituzioni di diritto pubblico, nonché persone incaricate di compiti pubblici

d) * dati personali particolarmente sensibili

1. dati sulle opinioni o attività religiose, ideologiche, politiche o sindacali

2. dati sulla salute, la sfera intima o l'origine etnica

3. dati su misure di assistenza sociale

4. dati su procedimenti amministrativi o penali e sanzioni

5. dati genetici

6. dati biometrici

e) * profilazione: la valutazione automatizzata di dati per analizzare caratteristiche personali essenziali o prevedere sviluppi personali

f) * trattare: qualsiasi interazione con dati, in particolare l'acquisizione, l'archiviazione, la conservazione, l'uso, la modifica, la divulgazione, l'archiviazione, la cancellazione o l'eliminazione di dati

g) divulgare: rendere accessibili i dati personali, come consentire l'accesso, trasmettere o pubblicare

h) * ...

i) legge formale: legge cantonale o atto comunale soggetto a referendum

1. Questa legge si applica al trattamento dei dati personali da parte degli organi pubblici, indipendentemente dai mezzi e dalle procedure utilizzati.

2. Durante i procedimenti pendenti di giustizia civile, penale e amministrativa, i diritti e le pretese delle persone interessate così come i diritti di accesso di terzi sono regolati dal diritto procedurale applicabile.

3. Per l'azione giuridica privata degli organi pubblici si applicano le disposizioni di diritto federale sul trattamento dei dati personali da parte delle persone private.

4. Le autorità giudiziarie non sono soggette all'autorità di vigilanza ai sensi degli Articoli 23 e seguenti.

1. I dati personali possono essere trattati quando

a) esiste una base legale a tal scopo oppure

b) ciò è adatto e necessario per l'adempimento dei compiti descritti dalla legge oppure

c) la persona interessata acconsente espressamente o il suo consenso può essere indubbiamente presunto dalle circostanze.

2. Il trattamento dei dati personali deve avvenire secondo buona fede ed essere proporzionato.

3. I dati personali devono essere corretti e, nella misura richiesta dallo scopo del trattamento, completi.

4. I dati trattati devono essere adeguati e necessari al raggiungimento dello scopo per cui vengono trattati e non devono essere trattati più a lungo di quanto necessario per il raggiungimento di tale scopo.

5. I dati personali possono essere trattati solo per lo scopo indicato al momento della raccolta, che risulta evidente dalle circostanze o previsto dalla legge.

1. I dati personali particolarmente meritevoli di protezione possono essere trattati o un profiling può essere effettuato solo quando

a) una legge formale lo prevede espressamente o è indispensabile per un compito chiaramente descritto in una legge formale oppure

b) * la persona interessata ha espresso esplicitamente il suo consenso oppure il suo consenso può essere presunto in modo inequivocabile in base alle circostanze.

1. L'organismo pubblico è obbligato a informare la persona interessata sull'acquisizione dei dati personali; questo obbligo informativo si applica anche quando i dati vengono acquisiti da terzi.

2. Alla persona interessata devono essere comunicati almeno

a) l'organismo pubblico responsabile con i relativi dati di contatto

b) la base giuridica e lo scopo del trattamento

c) le categorie dei destinatari dei dati, se è prevista una comunicazione dei dati

d) i dati trattati o le categorie dei dati trattati

e) i diritti della persona interessata

3. La trasmissione delle informazioni può essere limitata alle stesse condizioni previste per l'accesso ai propri dati (Art. 19).

4. L'obbligo di informazione non si applica se

a) il trattamento dei dati è espressamente previsto dalla legge oppure

b) l'informazione non è possibile o è possibile solo con uno sforzo sproporzionato oppure

c) la persona interessata è già in possesso delle informazioni di cui al comma 2

1. Per la protezione dei dati è responsabile quell'ente pubblico che - da solo o insieme ad altri - decide lo scopo e i mezzi del trattamento dei dati.

2. Se più enti pubblici trattano dati personali da un patrimonio informativo comune, deve essere designato un ente pubblico che porti la responsabilità principale per la protezione dei dati.

1. I dati personali devono essere raccolti, di norma, presso l'interessato stesso.

2. ...

1. I dati personali possono essere divulgati da organi pubblici se

a) esistono basi legali per farlo

b) il destinatario necessita dei dati per adempiere ai suoi compiti legali

c) la persona interessata ha espresso consenso esplicito o il suo consenso può essere presunto dalle circostanze o

d) la persona interessata ha reso i suoi dati generalmente accessibili

2. Il Consiglio di governo disciplina la divulgazione dei dati personali per elenchi telefonici e opere di consultazione simili di interesse generale.

3. La divulgazione di dati personali particolarmente degni di protezione e dei risultati di un profiling si regola secondo l'art. 5.

1. L'ufficio che gestisce il registro degli abitanti comunica, su richiesta e senza restrizione, il nome, il cognome, l'indirizzo, la data di arrivo e partenza, nonché la professione di una persona a un privato o a un'organizzazione in singoli casi.

2. Il luogo di arrivo e partenza, la data di nascita, il sesso, lo stato civile e il luogo d'origine di una persona vengono resi noti se viene dimostrato un interesse legittimo.

3. Se questi dati, escludendo il luogo di arrivo e di partenza, vengono utilizzati esclusivamente per scopi ideali meritevoli di protezione e non vengono condivisi con terzi, possono essere divulgati secondo criteri specifici.

4. Altri dati personali possono essere resi noti se viene dimostrato un interesse particolarmente meritevole di protezione.

1. L'ente pubblico rifiuta la divulgazione di dati personali, la limita o la condiziona a determinati obblighi, se

a) lo richiedono interessi pubblici essenziali o evidenti interessi legittimi di una persona interessata oppure

b) lo richiedono obblighi legali di riservatezza o particolari disposizioni in materia di protezione dei dati.

1. La persona interessata può richiedere all'ente pubblico di bloccare la divulgazione dei propri dati a persone e organizzazioni private.

2. La divulgazione è consentita nonostante il blocco, se

a) l'ente pubblico è obbligato per legge a farlo oppure

b) il richiedente dimostra in modo convincente che il blocco ostacola l'esercizio dei propri diritti nei confronti della persona interessata.

1. Per la divulgazione di dati personali a enti esteri dell'Unione Europea, nonché a Stati contraenti dell'Accordo sullo Spazio Economico Europeo e della Convenzione del Consiglio d'Europa per la protezione delle persone rispetto al trattamento automatizzato di dati personali (SEV n. 108), si applicano in aggiunta al diritto superiore e al diritto dei trattati internazionali, le disposizioni in conformità agli Art. 8 e seguenti, in modo appropriato.

1. I dati personali possono essere comunicati a Stati terzi, fatti salvi gli articoli 8 e seguenti, solo se questi garantiscono un livello di protezione dei dati adeguato secondo la Convenzione del Consiglio d'Europa per la protezione delle persone rispetto al trattamento automatizzato di dati personali (STCE n. 108).

2. L'adeguatezza del livello di protezione dei dati è valutata in conformità con le disposizioni della Confederazione e tenendo conto di tutte le circostanze rilevanti per il trasferimento dei dati.

3. Se uno Stato terzo non garantisce un livello di protezione adeguato, i dati personali possono essere comunicati nei singoli casi se

a) la persona interessata abbia dato il suo consenso senza alcun dubbio; nel caso di dati personali particolarmente sensibili o di profili di personalità, il consenso deve essere esplicito;

b) la comunicazione è necessaria per proteggere la vita o l'integrità fisica della persona interessata o

c) la comunicazione è essenziale per salvaguardare interessi pubblici preponderanti o per l'accertamento, l'esercizio o l'applicazione di pretese legali in tribunale.

4. Il trasferimento è omesso se vi è motivo di ritenere che esso violerebbe l'ordinamento giuridico svizzero o contrasterebbe con l'ordine pubblico.

5. I dati personali possono essere comunicati se nel singolo caso garanzie contrattuali sufficienti assicurano una protezione adeguata della persona interessata.

1. I dati personali possono essere trattati per scopi non personali, come la statistica, la pianificazione, la scienza o la ricerca, se

a) i dati vengono anonimizati non appena lo consente lo scopo del trattamento e

b) i risultati vengono pubblicati in modo tale che le persone interessate non siano identificate

c) * è stato dato il consenso del responsabile della protezione dei dati

2. L'ente responsabile può comunicare i dati personali a persone o organizzazioni private, se è altresì garantito che i dati personali non siano divulgati a terzi e che venga assicurata la sicurezza dei dati.

3. In caso di comunicazione dei dati a terzi, deve essere stipulato un accordo. Può essere prevista una penale nel caso in cui non vengano rispettate le disposizioni sulla protezione dei dati.

4. In tali casi, non trovano applicazione l'art. 4 paragrafo 4, nonché l'art. 5 e 8.

1. L'organo pubblico responsabile può incaricare un altro organo pubblico o terzi di trattare i dati personali, se

a) la trasmissione non è in contrasto con alcuna disposizione legale o accordo contrattuale e

b) è garantito che i dati vengano trattati solo nel modo in cui l'organo pubblico responsabile avrebbe diritto di farlo.

2. La protezione dei dati deve essere garantita attraverso un accordo, delle condizioni o in altro modo. Il Consiglio di governo regola i dettagli tramite regolamento.

3. L'ente incaricato non può trasferire il trattamento dei dati a un altro ente senza il previo consenso scritto dell'organo pubblico committente.

4. L'organo pubblico committente rimane responsabile del trattamento dei dati secondo la presente legge.

1. I dati personali devono essere protetti contro la perdita, il furto e il trattamento non autorizzato mediante misure tecniche e organizzative adeguate.

2. L'ente pubblico deve essere in grado di dimostrare che rispetta le disposizioni sulla protezione dei dati. Il Consiglio di Governo disciplina i dettagli mediante regolamento.

1. L'organo pubblico segnala all'autorità di vigilanza, senza indebito ritardo, una violazione dei dati personali che comporta un rischio elevato per i diritti fondamentali della persona interessata.

2. Se i dati sono trattati da un terzo per conto dell'organo pubblico, quest'ultimo deve informare immediatamente l'organo pubblico delle violazioni dei dati personali.

3. L'organo pubblico informa inoltre la persona interessata, se ciò è necessario per la protezione della stessa o se richiesto dall'autorità di vigilanza.

4. L'informazione alla persona interessata può essere limitata o omessa, con comunicazione all'autorità di vigilanza, se lo richiedono preponderanti interessi pubblici o privati di riservatezza.

5. Si verifica una violazione dei dati personali quando i dati personali trattati vengono persi, o distrutti, modificati o divulgati accidentalmente o illegalmente, o quando persone non autorizzate hanno avuto accesso a tali dati.

1. Se l'ente pubblico intende effettuare un trattamento di dati personali che verosimilmente comporta un rischio elevato per i diritti fondamentali della persona interessata, deve effettuare una valutazione d'impatto sulla protezione dei dati.

2. La valutazione d'impatto sulla protezione dei dati descrive il trattamento pianificato, i rischi per i diritti fondamentali della persona interessata e le misure previste per evitare il rischio di una violazione dei diritti fondamentali della persona interessata.

1. Se dalla valutazione d'impatto sulla protezione dei dati risulta che il trattamento previsto comporta un alto rischio per i diritti fondamentali della persona interessata, l'ente pubblico ottiene previamente il parere dell'autorità di controllo.

2. L'autorità di controllo comunica all'ente pubblico, entro un termine ragionevole, eventuali obiezioni al trattamento previsto. Essa può adottare misure ai sensi dell'art. 26.

1. I dati personali non più necessari devono essere distrutti. Sono fatte salve le disposizioni sulla conservazione negli archivi.

2. Il Consiglio di Stato emana disposizioni sugli archivi pubblici cantonali. Tali disposizioni si applicano per analogia agli altri enti, a meno che questi non emanino regole proprie. Il Consiglio di Stato può disciplinare il trattamento di dati personali particolarmente degni di protezione in modo divergente dall'art. 5.

3. La distruzione di dati personali non più necessari deve essere rinviata, qualora esista un motivo legittimo per ritenere che una cancellazione possa ledere gli interessi degni di protezione della persona interessata.

1. L'ente pubblico informa i destinatari dei dati personali su ogni rettifica, cancellazione o distruzione di dati personali, nonché su annotazioni ai sensi dell'art. 20 comma 3, nella misura in cui si presume che i dati siano ancora trattati dai destinatari.

2. La comunicazione può essere omessa, nella misura in cui sia possibile solo con uno sforzo sproporzionato.

1. La polizia, il pubblico ministero e l'amministrazione penitenziaria tengono registri pubblici sulle attività di trattamento dei dati nei loro rispettivi ambiti di competenza.

2. I registri contengono informazioni sulla base giuridica, lo scopo e i mezzi del trattamento, nonché la natura, l'origine e i destinatari abituali dei dati personali.

1. La polizia, la procura e l'autorità penitenziaria designano all'interno della loro organizzazione una persona responsabile della protezione dei dati.

2. Questa ha i seguenti compiti

a) consiglia e supporta i dipendenti nel trattare i dati personali per quanto riguarda l'osservanza delle norme sulla protezione dei dati e la sicurezza dei dati

b) svolge valutazioni d'impatto sulla protezione dei dati ai sensi dell'Art. 14b

c) è la persona di contatto per l'ufficio di vigilanza ai sensi degli Art. 23 e seguenti.

1. ...

2. Ogni persona ha il diritto di ricevere, su richiesta, informazioni in forma comprensibile riguardo al trattamento dei dati che la coinvolgono da parte di un ente pubblico, qualora esistano tali dati. Le informazioni fornite sono generalmente in forma scritta e includono almeno le indicazioni previste dall'art. 5a par. 2, nonché dettagli sulla durata di conservazione e la provenienza dei dati. A richiesta, nell'ambito del diritto di informazione, la documentazione può essere fornita in forma di stampa, copia o in formato elettronico.

2bis. Sono esonerati dall'obbligo di informazione i dati utilizzati esclusivamente come strumenti di lavoro personali, in particolare le note personali.

3. Le informazioni sono generalmente fornite gratuitamente. Tuttavia, può essere richiesta una tariffa ragionevole, previa comunicazione anticipata dell'importo, nei seguenti casi

a) quando è necessario prendere misure amministrative complesse per proteggere interessi legittimi di terzi,

b) se la richiesta è abusiva, in particolare nel caso di richieste eccessive sulla stessa questione.

1. L'informazione può essere posticipata, limitata o rifiutata se una disposizione di legge, un interesse pubblico prevalente o interessi meritevoli di protezione di terzi lo richiedono.

2. ...

1. I dati personali errati devono essere corretti gratuitamente su richiesta entro un termine ragionevole.

2. Se l'organismo responsabile contesta l'inesattezza, spetta a esso l'onere della prova per la correttezza dei dati personali, qualora la prova contraria non sia ragionevolmente esigibile dal richiedente.

3. Se né l'esattezza né l'inesattezza dei dati possono essere provate, l'organismo responsabile appone una nota corrispondente sui dati.

1. Chi dimostra un interesse degno di tutela può esigere dall'organo responsabile che esso

a) cessi il trattamento illecito di dati personali

b) distrugga i dati personali che sono stati raccolti, conservati o utilizzati illecitamente, oppure altrimenti elimini le conseguenze del trattamento illecito

c) accerti l'illegittimità del trattamento

1. Se un organo non soddisfa una richiesta ai sensi di questa legge, emette una decisione motivata.

2. Contro queste decisioni può essere presentato ricorso entro 20 giorni ai sensi dell'art. 16 e seguenti della legge sulla tutela giurisdizionale amministrativa. Per gli enti ecclesiastici riconosciuti di diritto pubblico e le loro istituzioni, si applicano le loro disposizioni organizzative.

1. Il Consiglio di Stato nomina, come autorità di vigilanza indipendente dall'amministrazione, un incaricato o un'incaricata cantonale della protezione dei dati con le necessarie qualifiche professionali per una durata del mandato di quattro anni.

1bis. L'incaricato o incaricata cantonale della protezione dei dati non può ricoprire altri incarichi pubblici né svolgere funzioni che possano generare conflitti di interesse.

2. La revoca è ammessa soltanto nei seguenti casi

a) violazione intenzionale o per grave negligenza dei doveri d'ufficio in modo grave o

b) perdita permanente delle capacità di esercitare il mandato

3. L'autorità di vigilanza svolge i suoi compiti in completa indipendenza; dispone di un proprio bilancio.

3bis. L'autorità competente per la nomina può, se necessario, autorizzare collaborazioni con autorità di vigilanza di altri cantoni o l'assunzione di personale specializzato.

4. Salvo disposizioni seguenti, ulteriori dettagli sono stabiliti in un regolamento.

1. Il Consiglio di Stato può autorizzare i comuni e gli enti pubblici a istituire un proprio organismo di vigilanza. In assenza di tale organismo, l'autorità di vigilanza cantonale è competente.

1. L'ufficio di vigilanza

a) sorveglia il rispetto delle disposizioni sulla protezione dei dati

b) informa le persone interessate sui loro diritti

c) media tra gli organi responsabili e le persone interessate

d) * tratta le richieste delle persone interessate e fornisce raccomandazioni secondo l'art. 26 comma 2

e) * consiglia gli organi responsabili su questioni di protezione dei dati e sicurezza dei dati, esprime pareri su atti rilevanti per la protezione dei dati ed è autorizzato, a sua discrezione, a pubblicare tali pareri

f) * collabora con gli organi di controllo di altri cantoni, della Confederazione e dell'estero per adempiere al compito di controllo

g) * è l'organo di controllo cantonale per l'adempimento delle funzioni legali federali ai sensi della legislazione federale sulla protezione dei dati [3]

h) * sensibilizza gli organi pubblici ai loro doveri in materia di protezione dei dati e il pubblico alle questioni di protezione dei dati

i) * segue gli sviluppi rilevanti per la protezione dei dati personali

2. Relaziona annualmente o secondo necessità all'organo elettivo sulla sua attività. Tali relazioni vengono pubblicate senza modifiche.

1. L'organo di vigilanza è autorizzato, indipendentemente da eventuali obblighi di riservatezza, a condurre indagini sul rispetto delle disposizioni in materia di protezione dei dati, a raccogliere tutte le informazioni necessarie per l'esecuzione del mandato di controllo sulle operazioni di trattamento dei dati, ad esaminare tutti i documenti, a eseguire ispezioni e a farsi dimostrare le operazioni di trattamento.

2. Qualora l'organo di vigilanza riscontri una violazione delle disposizioni sulla protezione dei dati, può formulare una raccomandazione all'organo responsabile. La persona che ha presentato la segnalazione deve essere informata sull'esito dell'indagine e sul contenuto della raccomandazione.

3. L'organo responsabile deve esprimere le sue osservazioni sulla raccomandazione entro 30 giorni. Dette osservazioni non sono soggette ad alcuna forma specifica. Se rifiuta parzialmente o totalmente la raccomandazione, l'organo di vigilanza può emettere una raccomandazione sotto forma di decisione motivata.

4. Inoltre, l'organo di vigilanza può

a) disporre il divieto provvisorio di un trattamento di dati

b) ordinare il blocco, la cancellazione o la distruzione dei dati

c) riferire al Consiglio di Stato o al Consiglio cantonale su carenze rilevanti per la protezione dei dati o in caso di violazione delle disposizioni di legge in materia di protezione dei dati.

1. Contro i provvedimenti ai sensi dell'art. 26 cpv. 3 e cpv. 4 lett. a e b, l'organo responsabile può presentare un ricorso presso il Consiglio di Stato.

2. Contro le decisioni sui ricorsi del Consiglio di Stato, l'organo di vigilanza può presentare un ricorso amministrativo al Tribunale superiore.

3. Nella misura in cui la presente legge non disponga diversamente, il procedimento e la tutela giuridica sono disciplinati dalle disposizioni della legge sulla procedura amministrativa.

1. Qualora l'autorità di vigilanza accerti gravi violazioni delle normative sulla protezione dei dati da parte di un ente pubblico, essa presenta un reclamo di vigilanza ai sensi dell'art. 30 e seguenti della legge sulla procedura amministrativa.

2. Se emergono indizi di un reato, l'autorità di vigilanza segnala la questione alle autorità di perseguimento penale.

1. Le persone che operano presso l'ente di vigilanza sono tenute alla stessa riservatezza sui dati personali di cui vengono a conoscenza nell'esercizio delle loro funzioni, allo stesso modo dell'organo che effettua il trattamento.

2. Sono altresì obbligate alla riservatezza quando la natura della questione o specifiche disposizioni di segretezza lo richiedono.

3. L'obbligo di riservatezza continua anche dopo la cessazione del rapporto d'ufficio o di servizio.

1. Chiunque, in qualità di persona incaricata del trattamento dei dati personali ai sensi dell'Art. 13, utilizza o divulga a terzi dati personali per proprio conto o per conto di altri senza un'espressa autorizzazione contraria dell'ente committente, è punito con una multa.

1. L'art. 169 della legge sul governo comunale per il Cantone Sciaffusa (Legge comunale) del 9 luglio 1892 è abrogato.

1. Entro un anno dall'entrata in vigore di questa legge, gli organi responsabili per le raccolte dati esistenti devono

a) effettuare la registrazione

b) stabilire il momento per la distruzione dei dati

c) adottare le misure per la sicurezza dei dati

2. Su richiesta motivata, il Consiglio di Stato può prorogare questo periodo transitorio per un massimo di un anno.

1. Questa legge entra in vigore alla data stabilita dal Consiglio di Stato, dopo l'approvazione da parte del popolo.

2. Deve essere pubblicata nel Bollettino Ufficiale e inclusa nella raccolta delle leggi cantonali.